350. 내부 확장·측면 이동 — 내부 확장·측면 이동 징후 종합 정리

Об этом предложении

시스템 보안 · 취약점 › G. 내부 확장 · 측면 이동 징후 · 50/50편 (전체 350/450) 학습 단계: 실전 시나리오·종합 실습 표기: 이 글의 명령어·출력·로그는 로컬 VMware 테스트 VM(Rocky Linux 9 / Ubuntu 22.04) 기준의 「실습 예시」 이며, IP·계정·호스트명은 가상의 값입니다. 선행 학습 349. 내부 확장·측면 이동 — 실전 시나리오·침투부터 핵심 자산 장악까지 301. 내부 확장·측면 이동 징후 분석 개요 1. 개념 G영역 「내부 확장·측면 이동 징후」 50편을 종합 정리합니다. 측면 이동은 거점 하나에서 조직 전체로 확산 되는 공격 단계로, 침투와 목표 달성(유출·파괴) 사이의 핵심 고리입니다. G영역은 이 확산을 탐지·분석·차단하는 전 과정을 다뤘습니다. G영역 전체 체계 [기초] 개념·공격 단계·기반·기준선·분석 축(G01~G08) [인증 이동] SSH·키/자격 재사용·PtH·계정 전환(G09~G18) [원격 실행] 명령·스케줄러·SMB·DB·웹·터널(G19~G28) [정찰·확산] 스캔·열거·수집·경로·핵심 자산·연계(G29~G38) [로그 분석] 타임라인·상관·그래프(G39~G43) [SOC 연계] Wazuh·SIEM·NDR·대응·카탈로그·실전(G44~G50) = 개념부터 실전 운영까지 측면 이동 탐지의 핵심은 "개별 이벤트가 아닌 연결(상관)"입니다. 단일 이동은 정상처럼 보여도, 출발지·계정·시간으로 연결하면 확산 패턴이 드러납니다. 2. 왜 중요한가 측면 이동은 침투와 목표 사이의 핵심 고리로, 여기서 차단하면 피해를 막습니다. 개별 이벤트는 정상처럼 보여, 상관(연결)이 탐지의 본질입니다. 조기 단계(정찰·초기 이동) 탐지가 핵심 자산 보호의 열쇠입니다. 3. 핵심 명령어 / 설정 영역 핵심 기초 동-서 트래픽·4대 축·기준선 인증 이동 키/자격 재사용·PtH·계정 전환 원격 실행 명령·SMB·DB·웹·터널 정찰·확산 스캔·수집·경로·핵심 자산 SOC 연계 상관·Wazuh/SIEM·대응 4. 실습 (실습 예시) # G영역 종합 운영 점검 (분석 방법) # 측면 이동 탐지 체계 전반 점검 echo "1. 중앙 수집·정규화(G41) 정상 여부" echo "2. 단계별 룰 커버리지(G48) 누락 여부" echo "3. 상관 룰(G42·G44) 작동 여부" echo "4. 기준선(G04)·핵심 자산 등록(G34) 최신 여부" echo "5. 대응 플레이북(G47) 준비 여부" sudo /var/ossec/bin/wazuh-logtest # 룰 검증 5. 정상 상태 종합 점검(정상 운영): · 중앙 수집·정규화 정상 · 단계별 룰·상관 룰 적재·작동 · 기준선·핵심 자산 최신 · 대응 플레이북 준비 수집·정규화·단계별 룰·상관·기준선·대응이 모두 정비되어, 측면 이동을 다층으로 탐지·대응할 준비가 된 상태가 정상입니다. 6. 이상 상태 운영 미비 시 위험: · 중앙 수집 미비 → 확산 추적 불가(사각) · 단계 룰 누락 → 그 단계 사각 · 상관 미작동 → 개별 정상으로 미탐 · 기준선·자산 미갱신 → 오탐·사각 → 종합 점검으로 체계 완결성 유지 수집·정규화 미비 → 측면 이동 추적 자체가 불가(가장 큰 사각) 상관 미작동 → 개별 이벤트가 정상으로 보여 미탐 종합 점검으로 탐지 체계의 완결성을 지속 유지 7. 로그 분석 (분석 방법) G영역 종합 체계입니다(가상의 예시). [기초] 개념·4대 축·기준선(G01~G08) ↓ [탐지] 인증 이동·원격 실행·정찰·확산(G09~G38) ↓ [분석] 타임라인·상관·그래프(G39~G43) ↓ [SOC] Wazuh·SIEM·NDR·대응·카탈로그(G44~G48) ↓ [실전] 시나리오·종합(G49~G50) = 개념→탐지→분석→운영→실전 완결 체계 핵심 원리: 개별 이벤트 → (상관) → 확산 패턴 → 탐지·차단 흐름 결과 기초 판단 기준 탐지 단계별 신호 분석 사건 재구성 SOC 운영 탐지·대응 개념부터 실전까지 측면 이동을 다루는 완결 체계입니다. 8. SOC 관제 포인트 측면 이동은 거점 하나에서 조직 전체로 확산 되는, 침투와 목표 사이의 핵심 고리입니다. 탐지의 본질은 개별 이벤트의 상관(연결) 으로, 단일은 정상이어도 연결하면 확산이 보입니다. 중앙 수집·정규화·단계별 다층 룰·상관·기준선·대응을 갖춘 완결 체계가 핵심입니다. 9. 탐지 규칙 <!-- 실습 예시 룰: 적용 전 wazuh-logtest 및 테스트 환경 검증 필요 --> <group name="local,syssec_g,lateral,"> <rule id="106490" level="12"> <if_group>lateral</if_group> <description>G영역 측면 이동 탐지 체계(종합 — 상관 기반 확산 탐지)</description> <mitre><id>T1021</id><id>T1078</id><id>T1210</id></mitre> </rule> </group> G영역 전 룰(106000~106480)을 lateral 그룹으로 통합 운영하고, 중앙 수집·상관·기준선·대응을 하나의 체계로 유지합니다. 정기 점검으로 완결성을 지킵니다. 10. 대응 방법 초기 확인 — 중앙 수집·정규화·단계별 룰·상관·기준선·대응을 종합 점검합니다. 범위 확인 — 측면 이동 탐지 체계의 커버리지·상관 작동·완결성을 확인합니다. 증거 확보 — 탐지 체계·룰 카탈로그·운영 문서를 보존·갱신합니다. 차단/조치 — 미비 항목은 보강하고, 신규 이동 기법은 룰·기준선에 반영합니다. 재발 방지 — G영역 측면 이동 탐지 체계를 지속 운영·발전시킵니다. 11. 핵심 정리 영역 핵심 기초 동-서·4대 축·기준선 인증/원격 이동 키·자격 재사용·SMB·DB·터널 정찰·확산 스캔·수집·경로·핵심 자산 SOC 연계 상관·Wazuh/SIEM·대응 면접 포인트 "측면 이동 탐지의 본질은 상관 — 개별은 정상, 연결하면 확산이 보인다" 12. 다음 편 예고 이것으로 G영역 「내부 확장·측면 이동 징후」를 마칩니다. 다음 영역에서 또 다른 보안 주제로 이어집니다. 이전 편: 349. 내부 확장·측면 이동 — 실전 시나리오 — 침투부터 핵심 자산 장악까지 📚 시리즈 전체 보기: 시스템 보안 · 취약점